不朽の名捕手として知られる元ニューヨーク・ヤンキースの選手で、米国野球殿堂入りを果たし、数々の迷言を残したヨギ・ベラの言葉を借りれば、「またしてもデジャヴだ」です。
Just when we all thought it was safe to dive back into application development after the pain and churn caused by the Log4j脆弱性とLog4Shell攻撃による苦痛と混乱を乗り越え、ようやく安心してアプリケーション開発に戻れると誰もが思った矢先、セキュリティをむしばみ、貴重なリソースを食い尽くす新たな怪物級の脆弱性が現れました。
すでにご存じの方も多いと思いますが、2022年3月29日、中国を拠点とする研究者が、Spring Core Javaライブラリに存在するリモートコード実行（RCE）の脆弱性を示すスクリーンショットを投稿しました。その後、この脆弱性には「CVE-2022-22965」が割り当てられ、CVSS深刻度は「Critical」と評価されました。VMwareが報告したこの脆弱性はGitHubに公開された後、すぐに削除されました。しかし、すでに手遅れで、脆弱性の情報は瞬く間にほかのリポジトリへ転載されました。
広くメディアで取り上げられる多くの深刻な脆弱性と同様に、CVE-2022-22965にもSpring4Shell、場合によってはSpringShellという通称が付けられています。呼び名にかかわらず、この深刻度の脆弱性は明らかに危険です。SpringライブラリはJavaプログラマーの開発時間を短縮するため、多くのアプリケーションで使用されているからです。
2022年3月31日にSpringがRCEに関する速報として公開したブログによると、この脆弱性は、Java Development Kit（JDK）9以降で実行されるSpring MVCおよびSpring WebFluxアプリケーションに影響します。また、アプリケーションがWARとしてApache Tomcat上で実行されていることも条件となる可能性があります。この脆弱性は、Spring Frameworkのバージョン5.3.0～5.3.17、5.2.0～5.2.19、およびそれ以前のバージョンに影響します。さらに懸念されるのは、Springが続けて次のように警告している点です。「この脆弱性はより広範な性質を持っており、まだ報告されていない別の悪用方法が存在する可能性があります」
また、Springによると、デフォルトのJava Archive（JAR）形式でデプロイされているアプリケーションはCVE-2022-22965の影響を受けません。ただし、他の悪用手法による影響を受ける可能性があることを同ベンダーは認めています。
Spring4Shell脆弱性は、別の脆弱性が発覚した直後に明らかになりました。Spring Cloud Functionソフトウェアのバージョン3.1.6、3.2.2、およびサポート対象外の旧バージョンでは、Spring Expression Language（SpEL）で細工されたルーティング式を作成することで、ローカルリソースにアクセスし、RCE攻撃を可能にするおそれがあります。当初、CVSS深刻度スコアが「Medium」に分類されていたCVE-2022-22963は、その後「Critical」の脆弱性に再分類されました。Spring Cloud Functionをバージョン3.1.7または3.2.3にアップグレードすることで修正できます。
CVE-2022-22965およびCVE-2022-22963とは別に、Springのもう1つの脆弱性であるCVE-2022-22950が2022年3月28日に報告されました。これは、Spring Frameworkバージョン5.3.0～5.3.16、およびそれ以前のサポート対象外バージョンに存在するサービス拒否（DoS）の脆弱性です。Springは、Spring Framework 5.3.17以降で修正をリリースしています。
現時点ですでにSpring4Shellスキャナーが作成、導入されており、この脆弱性が実際に悪用されているとの「報告」もあります。
Springは、CVE-2022-22965の脆弱性を修正したバージョンをリリースしました。これには、Spring Framework 5.3.18および5.2.20と、Spring Framework 5.3.18に依存するSpring Boot 2.5.12が含まれます。（Springによると、同じくSpring Framework 5.3.18に依存するSpring Boot 2.6.6も近日中にリリースされる予定です。）
Springは、これらの厄介な脆弱性に対処する修正を迅速にリリースしましたが、今回も組織には、できる限り早くアップデートして修正を適用する責任があります。Log4j／Log4Shellの問題と同様、課題はライブラリが広く普及していること、そして組織が把握していないアプリケーションで使用されている可能性があることです。影響を受ける一連のライブラリがアプリケーションで使用されていることを把握していなければ、組織はエクスプロイトの影響から自組織とユーザーをどのように保護できるでしょうか。
そこで力を発揮するのがF5です。
Spring Frameworkの脆弱性とLog4jの脆弱性およびLog4Shellエクスプロイトには、特性上の共通点と相違点がありますが、いずれもWebアプリケーションファイアウォール（WAF）や同様のセキュリティソリューションを導入することで、検知してブロックできます。
F5のお客さまは、Spring4Shellおよび関連する脆弱性を悪用した攻撃に対する非常に強力な保護機能をすでに導入済みです。ただし、影響を受けるSpringライブラリを直ちにアップグレードし、不要になった脆弱なSpringライブラリはアプリケーションから削除するよう、お客さまと開発チームに強く推奨します。
F5は、包括的かつ動的なセキュリティ製品およびサービスのポートフォリオを通じて、お客さまを支援し、アプリケーション、組織、ユーザーのセキュリティを確保しています。その方法をご紹介します。
F5 Security Incident Response Team (SIRT)
攻撃を受けている場合、または組織やそのアプリに脆弱性があり、攻撃にさらされている可能性が懸念される場合は、F5 Supportチームにお問い合わせのうえ、F5 SIRTへのエスカレーションをご依頼ください。24時間365日対応のこのチームが、F5システムおよびソフトウェアへのパッチ適用を案内し、設定を支援するとともに、攻撃にさらされるリスクの抑制や攻撃の緩和に向けたF5 iRulesの導入をサポートします。
BIG-IP Advanced WAF
F5は、Spring4Shellの脆弱性によって生じる既知の攻撃ベクトルをブロックするため、BIG-IP Advanced WAFおよびBIG-IP ASM環境向けのシグネチャセットをリリースしており、今後も対応とリリースを継続します。また、あらゆる回避の試みに対する保護を強化するため、シグネチャも継続的に更新しています。最新のAttack Signature Update（ASU）パッケージを導入し、使用していることを必ず確認してください。
Advanced WAFまたはASMを導入していないお客さまは、アプリケーションにiRuleを適用することで、特定のCVEを標的としている可能性のある不正なトラフィックを検出、記録、破棄できます。
NGINX App Protect WAF
F5は、お客さまが使用および導入するF5プラットフォームにかかわらず、一貫したアプリケーションセキュリティを確保します。そのため、NGINX App Protect WAFをご利用のお客さまには、BIG-IP Advanced WAFをご利用のお客さまと同時に、同じ更新済みシグネチャが提供されます。NGINX App Protect WAFのシグネチャを必ず更新してください。更新方法の詳細については、こちらのガイダンスをご参照ください。また、WAFポリシーで「Server Side Code Injection」攻撃タイプが有効になっていることも確認してください。
F5 Distributed Cloud WAAP
先ごろリリースされた「F5 Distributed Cloud Web Application and API Protection (WAAP)」は、業界をリードするF5のSaaSベースのWebアプリケーションファイアウォール（WAF）とボット対策、高度なAPIセキュリティ、L3～L7のDDoS防御により、クラウドやエッジサイトに展開されたアプリケーションとAPIを保護します。F5の「one WAF」アプローチにより、お客さまが導入するF5製品にかかわらず、一貫したアプリケーションセキュリティを確保できます。そのため、Spring4Shellの脆弱性に対処するシグネチャは、BIG-IP Advanced WAFおよびNGINX App Protect WAF向けにすでに作成、提供されており、Distributed Cloud WAAPでも同時に利用可能になっています。Distributed Cloud WAAPをご利用のお客さまはすでに保護されているため、追加の対応は必要ありません。
F5 Distributed Cloud WAF
BIG-IP Advanced WAF、NGINX App Protect、Distributed Cloud WAAPと同様に、F5 Distributed Cloud WAFには、Spring4Shellの脆弱性に起因するリスクから保護するために必要なシグネチャがすでに提供されています。これらはデフォルトのWAFポリシーに含まれているため、追加の対応は不要です。
F5 Silverline WAF
必要な緩和策は、すでにF5 Silverlineチームによって実施されており、お客さまのアプリケーションをSpring4Shellおよび関連する脆弱性から保護しています。脅威を継続的に監視し、必要な緩和策をいつでも適用できるよう、F5の脅威リサーチチームおよびお客さまと連携することで、F5 Silverline SOCはお客さまのAppSecチームを拡張し、24時間365日体制で支援します。F5 Silverlineに関するご質問は、support@f5silverline.comまでチームにお問い合わせください。
Threat Stack
F5が最近買収したThreat Stackは、検査、検知、レポート機能を提供します。Threat Stackサービスには、Spring4Shellによる侵害が懸念されるかどうかを判断し、root権限またはシェルからサービスを起動して権限昇格を試みる動作を検知するルールが含まれています。詳細については、F5の営業担当者にお問い合わせいただくか、https://www.threatstack.comをご覧ください。
F5 Distributed Cloud Bot Defense
Spring4Shellのような脆弱性を悪用する試みは、通常、自動偵察から始まります。F5 Distributed Cloud Bot Defenseは最初の防御線となります。自動スキャンを阻止できるため、組織内にSpring4Shellの脆弱性があるWebアプリが存在するかどうかを探ろうとする攻撃者にとって、調査がより困難になります。F5 Distributed Cloud Servicesは、ボットネットを操る攻撃者の絶えず進化する戦術に対応し、ボットによる自動攻撃にリアルタイムで適応できるようにします。
BIG-IP SSL Orchestrator
SpringライブラリはJavaベースのアプリケーションの大半で使用されているため、そこから生じる脆弱性や潜在的なエクスプロイトの全容を把握することは、組織にとって困難です。影響を受けるアプリケーションをすべて特定できたとしても、そのすべてを更新するには時間がかかる可能性があります。その間、アプリケーションや組織が脆弱な状態に置かれ、攻撃を受けるおそれがあります。F5 SSL Orchestratorは暗号化トラフィックを可視化し、暗号化された脅威を阻止します。サーバートラフィックを含め、ネットワークを通過するトラフィックを復号し、セキュリティスタック内のソリューションに基づいて定義できるセキュリティチェーンへ自動的にルーティングします。SSL Orchestratorは暗号化された脅威に対処するだけでなく、コマンド＆コントロール（C2）サーバー宛てのトラフィックなど、暗号化された悪意のあるトラフィックも阻止できます。SSL OrchestratorはCVE-2022-22965を緩和できるだけでなく、将来の脆弱性やエクスプロイトからも保護します。
F5は、Spring4Shell（CVE-2022-22965）と関連する脆弱性に関する最新情報、およびそこから生じるさらなるエクスプロイトに対してF5がどのように防御し、影響を緩和しているかについて、継続的にお知らせします。
新しい情報が入り次第、このブログを更新します。詳細については、以下のリソースをご覧ください。
- F5 Labsの記事： Spring4Shellの脆弱性とは？
- F5 DevCentral：Spring4Shellの脆弱性とは？
- F5のお客さま向けに、F5 SIRTは、F5製品の状況と、F5ソリューションを使用してSpring4Shellを緩和する方法に関する以下のKB記事を公開しており、今後も継続的に更新します。
K24912123: BIG-IPシステムによるSpring Framework（Spring4Shell）およびSpring Cloudの脆弱性の緩和
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。